Gaza Cybergang APT团伙新样本分析

2017-08-04 506332人围观 ,发现 2 个不明物体 漏洞网络安全

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

事件背景

2017年6月下旬, 360威胁情报中心发现了Gaza Cybergang APT事件的新样本,其特点是恶意代码完全使用网上流行的标准攻击框架Cobalt Strike生成,配合CVE-2017-0199漏洞通过鱼叉邮件投递,本文档对并对此次攻击事件的攻击链条进行梳理,并对使用的木马相关技术进行分析。

样本分析

Hash 004ef1209458bf6056147d1ce001fe9d
文件类型 Word文档
文件大小 2.5 MB (2592858 bytes)
文件名 رارات اللجنة المركزية.doc  (中央委员会的决定.doc)

该文档所利用的漏洞为CVE-2017-0199,该漏洞利用OFFICE OLE对象链接技术,将包裹的恶意链接对象嵌在文档中,OFFICE调用URL Moniker(COM对象)将恶意链接指向的HTA文件下载到本地, URL Moniker通过识别响应头中content-type的字段信息最后调用mshta.exe将下载到的HTA文件执行起来。

将下载到的HTA文件执行起来

可以看到下载地址为http://138[.]68.242.68:820/word.hta

Hta的代码如下:

其会启用powershell去下载https://gist[.]githubusercontent.com/0lol0/142364f6926d01c9b050cbeae12cbf59/raw/89e00b0bbd830e7779301f642543be9b0bcddeb3/1.ps1

1.ps1其实也是一个downloader,从https://drive[.]google.com/uc?export=download&id=0B1NUTMCAOKBTdVQzTXlUNHBmZUU下载一个PE文件并保存为%appdata%目录下的ps.exe。

 ps.exe是一个sfx文件,解压出来notepad.exe是一个dropper,其会在temp目录释放一个powershell脚本,然后以”C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe” -noProfile -ExecutionPolicy Bypass -File “C:\Documents and Settings\Administrator\Local Settings\Temp\3A.tmp\3B.ps1″执行该脚本。

执行该脚本

Powershell脚本的功能也非常简单,将内置的字符串base64decode后,得到一个PE文件(beacon_dll.dll),然后CreateThread一个新线程,将这个dll加载起来。

beacon_dll.dll是使用cobalt strike攻击框架生成的标准攻击载荷。其使用了一种叫做Reflective Load的技术,也就是在PE头部插入shellcode并实现一个模拟加载dll的导出函数,在shellcode中调用该导出函数将自身加载进来,并以fdwReason = 4来调用DllMain,这样做的好处有两个:

* 可以直接将dll当成shellcode加载\注入到内存中从MZ头开始执行;

* 正常地加载dll不会执行到功能流程(因为在MSDN中指明了fdwReason的值只能为0、1、2、3)。

 MZ头部的shellcode如下:

MZ头部的shellcode

实现自加载的导出函数的校验PE头部分代码:

实现自加载的导出函数的校验PE头部分代码

DllMain中代码:

DllMain中代码

可以看到,只有在fdwReason == 4时才会进入真正的功能流程,进入该流程后,首先将数据节偏移为 0x2E040,大小为 0×610的数据解密,解密方式是xor 0×69, 解密出的数据中包含了C&C, lol[.]mynetav.org。

Image

然后开始连接C&C服务器,这里支持dns_text,http,smb,tcp等多种协议的通信方式:

然后开始连接C&C服务器,这里支持dns_text,http,smb,tcp等多种协议的通信方式

然后开始连接C&C服务器,这里支持dns_text,http,smb,tcp等多种协议的通信方式

最后进入的就是远控功能部分了,由于是Cobalt Strike生成的标准载荷,功能包括显示应用信息、显示机器的凭证信息,文件下载,查看事件日志,键盘记录,获取代理信息,屏幕截图,加载脚本等等.. 具体功能就不再分析了。

扩展与关联分析

使用360威胁情报中心的威胁情报平台(http://ti.360.com)对样本连接的C&C地址(138.68.242.68)做进一步关联,发现了一个新的样本: 

做进一步关联,发现了一个新的样本

Hash 87a67371770fda4c2650564cbb00934d
文件类型  Word文档
文件大小 2.5 MB (2592858 bytes)
文件名 محضر اجتماع مركزية فتح الليلة.doc (中心开幕之夜的会议纪要.doc)

该样本与上面提到的样本几乎完全一致,只是连接的url变成了http://138[.]68.242.68:808/word.hta

另外我们发现lol.mynetav.org解析到的ip地址就是138.68.242.68,并且有一个域名ksm5sksm5sksm5s.zzux.com也解析到了这个ip上,而ksm5sksm5sksm5s.zzux.com这个域名,是Gaza Cybergang攻击事件(Gaza Cybergang APT活动是在2015年9月被Kaspersky公开揭露出来的一个APT组织,最早的活动可以追溯到2012年。相关行动的主要使用的攻击方式:鱼叉邮件,涉及行业:政治,受影响国家:埃及、阿联酋、也门)的其中一个C&C。 综合上面提到的文档标题、内容和来源,我们认为这次事件应该是Gaza Cybergang APT活动的又一次攻击活动。

文件名
محضر اجتماع مركزية فتح الليلة.doc
رارات اللجنة المركزية.doc
Ps.exe
MD5
87a67371770fda4c2650564cbb00934d
004ef1209458bf6056147d1ce001fe9d
2b3df594e5d73a95c9f2d820072b067a
bfefedb094f40c276bf1ae26b225e310
4f3b1a2088e473c7d2373849deb4536f
下载链接
https://doc-0k-2g-docs.googleusercontent.com/docs/securesc/ha0ro937gcuc7l7deffksulhg5h7mbp1/jft1kksjnhmtb1r0jdudcme1r83f05an/1497996000000/00086189316172082427/*/0B1NUTMCAOKBTdVQzTXlUNHBmZUU?e=download
https://drive.google.com/uc?export=download&id=0B1NUTMCAOKBTdVQzTXlUNHBmZUU
http://138.68.242.68:820/word.hta
http://138.68.242.68:808/word.hta
https://gist.githubusercontent.com/0lol0/142364f6926d01c9b050cbeae12cbf59/raw/89e00b0bbd830e7779301f642543be9b0bcddeb3/1.ps1
http://lol.mynetav.org:3737/ptj
C&C
lol.mynetav.org
138.68.242.68

*本文作者:360天眼实验室,转载请注明来自 FreeBuf.COM 

这些评论亮了

发表评论

已有 2 条评论

取消
Loading...

特别推荐

推荐关注

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php